Agente de Triagem de Alertas de Segurança Microsoft Security Copilot no Microsoft Defender (Pré-visualização)

Os Centros de Operações de Segurança (SOCs) processam grandes volumes de alertas em várias cargas de trabalho, cada uma requer contexto, sinais e profundidade de investigação diferentes. As diferenças na forma como estes alertas são avaliados podem levar a decisões de triagem inconsistentes e atrasar a capacidade de distinguir ameaças reais de alarmes falsos. Como resultado, a actividade de alto risco pode ser perdida ou atrasada, enquanto os analistas passam tempo desproporcionado a filtrar o ruído em vez de agirem sobre o que é mais importante.

O Agente de Triagem de Alertas de Segurança Microsoft Security Copilot é um agente autónomo incorporado no Microsoft Defender que ajuda as equipas de segurança a fazer a triagem de alertas em escala. Aplica o raciocínio dinâmico e orientado pela IA entre provas para dar veredictos claros para cargas de trabalho de segurança suportadas. Ao identificar quais os alertas que representam ataques reais e que são falsos positivos, o agente permite que os analistas se concentrem na investigação de ameaças reais, com um raciocínio passo a passo transparente para suportar todas as decisões.

Este artigo fornece uma descrição geral do Agente de Triagem de Alertas de Segurança, como funciona e as respetivas capacidades de triagem de alertas. Veja este vídeo para ver uma demonstração rápida:

Como funciona o Agente de Triagem de Alertas de Segurança

O Agente de Triagem de Alertas de Segurança é um agente Security Copilot no Microsoft Defender que classifica e triagem alertas em cargas de trabalho e tipos de alerta suportados. As principais capacidades do agente incluem:

• Triagem autónoma: Utiliza ferramentas avançadas de IA para avaliar alertas e determinar se representam atividades maliciosas ou alarmes falsos sem necessidade de entrada humana passo a passo.
• Lógica transparente: Regista veredictos de classificação e fornece raciocínio de apoio em linguagem natural e gráficos visuais, incluindo as provas utilizadas para chegar a cada conclusão.
• Aprender com base nos comentários: Para tipos de alerta suportados, o agente pode incorporar comentários de analistas quando explicitamente fornecidos e aprovados para ajustar a análise do veredicto. Esta capacidade está atualmente disponível apenas para alertas de e-mail e colaboração.

Alertas suportados

O Agente de Triagem de Alertas de Segurança suporta atualmente o seguinte subconjunto de tipos de alerta no Microsoft Defender. Espera-se que o conjunto de alertas suportados aumente ao longo do tempo.

Pré-requisitos

Estes pré-requisitos aplicam-se independentemente dos tipos de alerta que pretende que o agente faça a triagem.

Pré-requisitos específicos da carga de trabalho

Os seguintes pré-requisitos dependem dos tipos de alerta que pretende que o agente faça a triagem.

Permissões de utilizador necessárias

Os utilizadores que interagem com o Agente de Triagem de Alertas de Segurança precisam destas permissões:

Estas permissões aplicam-se ao fluxo de trabalho de comentários do agente:

Para obter mais informações sobre o RBAC unificado no portal do Defender, veja Microsoft Defender XDR Controlo de acesso baseado em funções (RBAC) unificado.

Configurar o Agente de Triagem de Alertas de Segurança

Certifique-se de que tem as permissões de utilizador necessárias e de que todos os pré-requisitos são cumpridos antes de configurar o agente.

Iniciar a instalação

Abra o assistente de configuração do Agente de Triagem de Alertas de Segurança de uma de duas formas:

• Na fila Incidentes no portal Microsoft Defender, selecione Configurar agente.

  

• A partir do Arquivo de Segurança no portal Microsoft Defender, conforme explicado em Implementar agentes de IA no Microsoft Defender. O agente pode aparecer como Agente de Triagem de Phishing no Arquivo de Segurança, mas é o mesmo agente.

Siga os passos no assistente de configuração, conforme descrito nas secções abaixo.

Selecionar os tipos de alerta a fazer a triagem

Selecione os tipos de alerta que pretende que o agente faça a triagem na lista de tipos de alerta suportados. As permissões e os âmbitos de dados dependem dessa seleção.

Atribuir a identidade e as permissões do agente

O assistente de configuração orienta-o ao longo da atribuição de uma identidade ao agente e das permissões necessárias para fazer o seu trabalho.

Atribuir uma identidade

O agente necessita de uma identidade para funcionar. O assistente pede-lhe para selecionar um de dois tipos de identidade.

Selecione:

• Criar uma nova identidade do agente (recomendado) – crie automaticamente um novo ID do agente Microsoft Entra. Microsoft Entra cria IDs de Agente especificamente para agentes de IA. A utilização de IDs de Agente mantém o acesso no âmbito, seguro e mais fácil de gerir. Para obter mais informações, veja O que são identidades de agente?.

  OU

• Ligar uma conta de utilizador existente – atribua uma conta de utilizador existente como a identidade do agente. O agente herda o acesso e as permissões da conta de utilizador. Para utilizar esta opção de identidade, tem de criar a identidade manualmente e atribuir-lhe as permissões necessárias para o agente antes da configuração. Para obter informações sobre como criar uma conta de utilizador, veja Criar um novo utilizador.

  Quando ligar o agente a uma conta, recomendamos que defina uma data de expiração longa da conta e monitorize de perto a respetiva autenticação status para garantir o funcionamento contínuo do agente. Se a autenticação expirar, o agente deixa de funcionar até ser renovado.

  A identidade de utilizador especificada do agente não é compatível com PIM ou TAP porque não suportam operações em segundo plano a longo prazo.

  Dica

  Utilize uma conta de identidade dedicada com as permissões mínimas necessárias para o agente. Ao criar a conta, atribua um nome a apresentar distinto, como Agente de Triagem de Alertas de Segurança, para o identificar facilmente no portal Microsoft Defender.

  Defina políticas de acesso condicional para Security Copilot para permitir que o agente funcione com base na conta de utilizador criada para o mesmo. Para obter mais informações, veja Resolver problemas de políticas de Acesso Condicional para Microsoft Security Copilot.

Atribuir permissões

Em conformidade com o princípio dos privilégios mínimos, recomendamos que atribua a identidade do agente apenas as permissões necessárias para o Agente de Triagem de Alertas de Segurança efetuar as respetivas tarefas.

• Se utilizar um ID de Agente, a lista pendente apenas apresenta funções na sua organização que tenham as permissões de que o agente precisa. Selecione uma função existente na sua organização ou crie automaticamente uma nova função com as permissões necessárias se ainda não tiver uma função adequada configurada.

  

• Se utilizar uma conta de utilizador existente, terá de atribuir as permissões necessárias a essa identidade antes de atribuir a identidade do agente durante a configuração. Não pode fazê-lo a partir do assistente de configuração.

  

Permissões necessárias do Agente de Triagem de Alertas de Segurança

O Agente de Triagem de Alertas de Segurança requer permissões específicas para aceder aos dados necessários e executar as respetivas funções de triagem. As permissões necessárias dependem dos tipos de alerta e dos produtos associados com os quais pretende que o agente trabalhe.

Esta tabela resume as permissões e os âmbitos de dados necessários para cada tipo de alerta:

Estas permissões estão no grupo Permissões de operações de segurança :

Para criar uma função manualmente:

1. Confirme que as cargas de trabalho RBAC unificadas relevantes estão ativadas para permitir que o agente analise eficazmente os alertas com contexto abrangente. Siga os passos em Pré-requisitos específicos da carga de trabalho.

2. Crie uma função com as permissões necessárias ou atribua uma função existente com estas permissões ao agente.

   Confirme que concede acesso à função a todas as origens de dados relevantes com base nos alertas suportados que pretende associar ao Agente de Triagem de Alertas de Segurança.

   

3. Atribua a função à identidade do agente.

Utilizar o Agente de Triagem de Alertas de Segurança

O agente ajuda as equipas de segurança a gerir o grande volume de alertas que as organizações recebem diariamente através da triagem automática de alertas suportados e da atualização da classificação e status em incidentes Microsoft Defender.

Acionador e fluxo do agente

Após a configuração, o Agente de Triagem de Alertas de Segurança é executado automaticamente quando é criado um alerta relevante. Em seguida, o agente analisa de forma autónoma o alerta com ferramentas de IA sofisticadas e o contexto da sua organização para determinar se a ameaça associada é maliciosa ou apenas um falso alarme.

Se o alerta for determinado como um falso alarme, o agente classifica-o como falso positivo e resolve-o em conformidade. Se o alerta for considerado malicioso, será classificado como Verdadeiro Positivo e a status do incidente associado permanecerá aberta e em curso para que um analista investigue e tome medidas adicionais.

Para cada alerta que processa, o agente fornece uma explicação detalhada do veredicto no incidente correspondente.

Colaborar com o agente

Para manter a transparência, o agente atualiza regularmente os campos de incidentes durante o processo de triagem. Quando a triagem é iniciada, o agente atribui o alerta a si próprio e adiciona uma etiqueta Agente ao incidente correspondente. Os analistas podem filtrar a fila de incidentes para ver apenas os incidentes marcados pelo agente, o que simplifica a supervisão e a atribuição de prioridades.

Quando um alerta é identificado como uma ameaça verdadeira, o Agente de Triagem de Alertas de Segurança marca-o como um Verdadeiro Positivo, permitindo que os analistas filtrem e atribuam prioridades a incidentes com base em classificações confirmadas.

Transparência e explicação na triagem de alertas

Para cada alerta que processa, o Agente de Triagem de Alertas de Segurança fornece uma explicação detalhada do respetivo veredicto e uma representação gráfica do fluxo de trabalho de tomada de decisão.

Para rever as conclusões do agente, siga estes passos:

1. Selecionar um incidente na fila de incidentes.

2. Na página do incidente, procure o Agente de Triagem de Alertas de Segurança card no painel lateral Copilot ou Tarefas, na secção Triagem de Resposta Guiada. A tarefa é marcada como concluída e atribuída ao agente. O card apresenta o veredicto do agente com base na sua classificação, destacando peças-chave de provas incriminatórias que informaram a decisão.

   

3. Pode selecionar as reticências Mais ações para ver mais detalhes do alerta, copiar os detalhes de classificação do agente para a área de transferência ou gerir os comentários.

   

4. Para ver os passos que o agente tomou antes de alcançar a classificação, selecione Ver atividade do agente no Agente de Triagem de Alertas de Segurança card. Isto mostra a lógica subjacente à classificação final do agente.

   

Ensine o contexto do agente da sua organização através de comentários

Para tipos de alerta suportados, os analistas podem opcionalmente fornecer feedback sobre classificações de agentes em linguagem simples e natural, sem necessidade de configurações complexas. Os utilizadores autorizados podem rever os comentários, avaliá-lo e aplicá-lo explicitamente para influenciar a forma como o agente classifica alertas semelhantes no futuro. Esta capacidade está atualmente disponível apenas para alertas de e-mail e colaboração.

Para fornecer feedback e ensinar o agente, siga estes passos:

1. Na página do incidente, procure o Agente de Triagem de Alertas de Segurança card no painel lateral Copilot ou Tarefas, na secção Triagem de Resposta Guiada.

2. Reveja a classificação e o raciocínio do agente apresentados no título e no conteúdo do card. Se a decisão não estiver alinhada com os critérios de classificação da sua organização, selecione Alterar classificação. Em alternativa, pode atualizar a classificação ao selecionar o alerta específico no separador Alertas e, em seguida, selecionar Gerir alerta.

   

3. No painel Gerir alerta , selecione a nova classificação no menu pendente Classificação . Em seguida, indique o motivo da alteração ao preencher o campo Por que motivo alterou este campo de classificação . Este passo regista a sua entrada na página de gestão de comentários apenas para fins de auditoria. O agente não utilizará este feedback para melhorar a tomada de decisões até selecionar explicitamente Utilizar este feedback para ensinar o agente. Se optar por não utilizar este feedback para ensinar o agente, pode selecionar Guardar, o que só auditará os comentários sem o inserir na memória do agente.

   

4. Para aplicar o seu feedback, selecione Utilizar este feedback para ensinar o agente. Pode utilizar o guia para escrever comentários para ajudá-lo a criar entradas eficazes e, em seguida, selecionar Avaliar feedback para lhe permitir pré-visualizar a forma como o agente traduz o seu feedback numa lição e avaliar se o resultado está alinhado com a sua intenção. Além disso, a avaliação de comentários efetua verificações de segurança básicas para garantir que o feedback aplicado é relevante para o agente utilizar e não entra em conflito com os comentários anteriores.

   Observação

   Só pode fornecer feedback ao agente uma vez por alerta e este só pode ser utilizado para ensinar o agente a classificar alertas de e-mail e colaboração, especificamente ao selecionar Verdadeiro Positivo (phishing) ou Falso Positivo (não malicioso). Reveja sempre o seu feedback e verifique a resposta gerada pela IA antes de guardar a lição.

5. Se o resultado corresponder às suas expectativas, pode optar por inserir a lição na memória do agente para influenciar as suas decisões futuras. Selecione Guardar para guardar a lição e armazená-la como uma lição na memória do agente, se aplicável. Todos os comentários são registados para fins de auditoria e as lições adicionadas à memória do agente podem ser revistas posteriormente na página de gestão de comentários.

O agente utiliza comentários armazenados para fazer a triagem e classificar alertas semelhantes no futuro. Quando é recebido um alerta relevante que corresponde às características do feedback, o agente aplica este feedback para determinar a classificação, incorporando-o como prova de suporte no processo de tomada de decisão.

Melhores práticas para escrever comentários

As lições fornecem diretrizes sistemáticas que ajudam o agente a determinar se um alerta é uma ameaça de phishing genuína ou um falso alarme. Para garantir que o agente incorpora eficazmente os seus comentários, siga estas melhores práticas ao fornecer informações ao Agente de Triagem de Alertas de Segurança:

1. Certifique-se de que o feedback é relevante e contextual. Os comentários devem ser relativos apenas ao e-mail atualmente em análise. Também tem de estar alinhado com a classificação atualizada que atribuiu.
2. Seja descritivo e específico. Explique claramente as características do e-mail. Forneça detalhes relevantes, como o assunto do e-mail, o corpo da mensagem, o remetente ou os destinatários, para ajudar o agente a compreender o contexto. Comentários específicos com múltiplos detalhes melhoram a eficácia.
3. Garanta clareza e decisividade. Evite declarações vagas ou universais. Envie comentários claros e acionáveis. Utilize termos de identificação decisivos e claros.
4. Seja consistente com os comentários anteriores. Certifique-se de que os novos comentários estão alinhados com o que foi fornecido anteriormente para evitar contradições que possam confundir o agente ou reduzir a precisão das suas decisões. Pode rever todas as entradas submetidas anteriormente na página Gestão de comentários.
5. Reveja a interpretação do agente do seu feedback. Quando submeter comentários, verifique sempre se os comentários são traduzidos com precisão numa lição. Confirme que a lição reflete a sua intenção e mantém a consistência com a sua entrada original. Verificar a validade das respostas geradas por IA para garantir que são aplicáveis ao cenário.

Eis exemplos de como pode escrever o seu feedback no agente.

Resolver falhas de comentários

Quando o agente recebe o seu feedback, traduz-o numa lição. Se o agente não conseguir interpretar o feedback, uma mensagem relevante mostra o que causou a falha. Pode resolver estas falhas com base na mensagem devolvida pelo agente.

Seguem-se exemplos de falhas que poderá encontrar ao escrever comentários ao agente e como pode resolve-los.

Mensagem de falha	Ação recomendada
Parte do feedback fornecido não pode ser abordado, uma vez que o agente não suporta atualmente este tipo de entrada e, por conseguinte, não pode ser traduzido para uma lição.	Reescreva os seus comentários e certifique-se de que segue as melhores práticas. Selecione Avaliar feedback para tentar novamente.
O feedback contém informações que o agente pode suportar, mas não é relevante para o e-mail em questão e, por conseguinte, não foi possível traduzir numa lição acionável para ser guardada na memória.	Reescreva os seus comentários e certifique-se de que aborda descrições do e-mail que pode suportar. Em seguida, selecione Avaliar feedback para tentar novamente.
Os comentários fornecidos entram em conflito com os comentários anteriores fornecidos a um e-mail semelhante.	Na página de gestão de comentários , procure o ID de feedback para ver o feedback com o qual entra em conflito. Com base na sua crítica, pode: - Rejeitar o feedback anterior na página de gestão de comentários. Depois disso, selecione Avaliar para tentar inserir o seu feedback novamente. - Reescreva o seu feedback fornecido de uma forma que não esteja em conflito e, em seguida, selecione Avaliar feedback para que o agente reavalie a sua nova entrada.

Quando os comentários aplicáveis são aprovados e armazenados, o agente pode aplicá-lo ao processar alertas semelhantes no futuro, sujeitos às mesmas permissões e controlos.

Monitorizar e gerir o Agente de Triagem de Alertas de Segurança

Para ver as métricas do agente e gerir o agente, aceda ao Agente de Triagem de Alertas de Segurança card na fila de incidentes ou na página Agentes:

• Para abrir diretamente a página Agente de Triagem de Alertas de Segurança, selecione Security Copilot > Agentes, procure o Agente de Triagem de Alertas de Segurança em Agentes em utilização e selecione Ir para agente.

  Esta página consiste em dois separadores: Descrição Geral e Desempenho.

  • O separador Descrição geral fornece detalhes sobre a atividade recente, a identidade, a função e a status atual do agente.

    

    Selecione uma atividade na lista Atividade recente para ver detalhes sobre a investigação do agente e o fluxo de trabalho completo do agente.

    

    Selecione Ver fluxo de trabalho completo do agente para ver uma representação gráfica do processo de tomada de decisão do agente para essa atividade específica.

    

  • O separador Desempenho apresenta as principais métricas sobre a atividade do agente ao longo do tempo, incluindo a atividade diária, o tempo médio de triagem (MTTT) e o consumo de SCU.

    

  Selecione as reticências (...) no canto superior direito da página para aceder às opções de gestão do agente, conforme descrito nas secções abaixo.

  Selecione Colocar em Pausa ou Executar para parar ou reiniciar temporariamente as atividades do agente.

• Para abrir o Agente de Triagem de Alertas de Segurança card na fila de incidentes, selecione Investigação & resposta > Incidentes & alertas Incidentes > .

  O Agente de Triagem de Alertas de Segurança card acima da fila de incidentes mostra algumas das principais métricas do agente, incluindo Incidentes resolvidos, que são incidentes que contêm alertas que o agente classificou como ameaças verdadeiras ou alarmes falsos.

  Estes dados ajudam a demonstrar o impacto do agente e podem ser utilizados para informar conversações estratégicas mais amplas, realçar o retorno do investimento ou suportar decisões sobre o dimensionamento da automatização em toda a sua organização.

  As métricas são calculadas com base na atividade do agente, a partir do primeiro incidente registado ou dos últimos 30 dias – o que for mais recente.

  

  Selecione Gerir agente no card para abrir a página Agente de Triagem de Alertas de Segurança, que tem mais métricas de desempenho e opções de gestão.

Editar definições do agente

Para editar as definições do agente:

1. Selecione Security Copilot > Agentes.

2. Procure o Agente de Triagem de Alertas de Segurança em Agentes em utilização e selecione Ir para agente.

3. Selecione as reticências (...) > Editar agente no canto superior direito da página Agente de Triagem de Alertas de Segurança .

   A página Editar agente tem três separadores:

   • Identidade e função – altere a identidade do agente. Selecione Selecionar uma nova identidade e siga os passos descritos em Atribuir a identidade e as permissões do agente.

   • Feedback – veja e faça a gestão dos comentários submetidos pelo utilizador. Para obter mais informações, consulte Ver e gerir comentários ao agente.

   • Alertas suportados – veja quais dos tipos de alerta suportados o agente pode fazer a triagem. Para ativar ou desativar tipos de alerta específicos para o agente:

     1. Selecione Editar alertas suportados para abrir a página Alertas suportados pelo agente .

        

     2. Ative ou desative tipos de alerta individuais e selecione Atualizar.

        

     3. Selecione Atualizar permissões de função para aplicar as atualizações.

        

Ver e gerir comentários ao agente

O Agente de Triagem de Alertas de Segurança aprende com os comentários submetidos pelo utilizador e melhora o desempenho ao longo do tempo. Armazena comentários aplicáveis na sua memória como lições. Pode ver e gerir os comentários do Agente de Triagem de Alertas de Segurança na página comentários do Agente .

Esta página fornece uma lista completa de todos os comentários submetidos ao agente. Pode rever os principais detalhes de cada feedback, incluindo:

• A classificação original do agente e a alteração aplicada pelo utilizador
• O feedback original fornecido pelo utilizador ao alterar a classificação
• A lição traduzida gerada pelo agente (se aplicável)
• Feedback status: em utilização, não em utilização ou em conflito
• O utilizador que forneceu o feedback
• Data de submissão de comentários, ID de feedback, ID do alerta e o ID do incidente

Esta tabela explica os estados dos comentários:

Para ver e gerir comentários submetidos pelo utilizador:

1. Selecione Security Copilot > Agentes, procure o Agente de Triagem de Alertas de Segurança em Agentes em utilização e selecione Ir para agente.

2. Selecione as reticências (...) > Editar agente no canto superior direito da página. Esta ação abre a página Editar agente .

3. Selecione Feedback no painel esquerdo para abrir a página Comentários do agente .

4. Selecione uma entrada na lista de comentários para abrir o painel Rever comentários .

5. Verifique os detalhes do feedback fornecido, a lição do agente, as alterações de classificação e outros detalhes importantes.

   

6. Para rejeitar comentários específicos, selecione Rejeitar feedback. O agente deixa de utilizar o feedback em futuras decisões de triagem.

   Observação

   Para rejeitar os comentários fornecidos, precisa da função administrador de segurança no Microsoft Entra ID.

Remover o agente

Quando remove o agente, a triagem e a classificação de novos incidentes param e todos os comentários são eliminados. No entanto, o histórico de incidentes triagemdos anteriormente é mantido para referência.

Para remover o agente:

1. Selecione Security Copilot > Agentes, procure o Agente de Triagem de Alertas de Segurança em Agentes em utilização e selecione Ir para agente.
2. Selecione as reticências (...) no canto superior direito da página e, em seguida, selecione Remover.

Perguntas frequentes

Seguem-se as respostas às perguntas mais frequentes sobre o Agente de Triagem de Alertas de Segurança. Para obter informações sobre as capacidades e requisitos do agente, veja as secções Como funciona o Agente de Triagem de Alertas de Segurança e os pré-requisitos deste artigo.

O que é o Agente de Triagem de Alertas de Segurança, como difere do Agente de Triagem de Phishing e como posso integrar se já estiver a utilizar o agente para fazer a triagem de alertas de phishing?

O Agente de Triagem de Alertas de Segurança é um agente de Microsoft Security Copilot autónomo no Microsoft Defender que ajuda as equipas de segurança a fazer a triagem de alertas em escala. Avalia alertas com o raciocínio orientado pela IA, chega a um veredicto e regista as suas conclusões diretamente em incidentes Microsoft Defender para ajudar os analistas a priorizar o que requer ação.

O Agente de Triagem de Alertas de Segurança é o mesmo agente que o Agente de Triagem de Phishing, expandido para a triagem de tipos de alerta adicionais para além do e-mail e da colaboração. O Agente de Triagem de Alertas de Segurança é modular . Pode escolher os tipos de alerta que pretende que o agente faça a triagem. O agente expande-se agora para alertas de identidade e cloud, começando pelos contentores, que estão atualmente em pré-visualização. Email e funcionalidades de triagem de alertas de colaboração já estão disponíveis em geral (GA). Espera-se que o conjunto de alertas suportados aumente ao longo do tempo.

Se já estiver a utilizar o Agente de Triagem de Phishing, não precisa de instalar um novo agente. O agente existente continuará a funcionar e pode ativar os tipos de alerta adicionais através da configuração. Para integrar as capacidades expandidas, reveja os pré-requisitos dos tipos de alerta adicionais e edite as definições do agente para selecionar os tipos de alerta que pretende ativar.

A configuração e o feedback da triagem de phishing existentes são transferidos automaticamente. Para obter mais informações, veja Como funciona o Agente de Triagem de Alertas de Segurança e Configurar o Agente de Triagem de Alertas de Segurança.

Quando é que o agente é acionado?

Este agente é executado automaticamente quando é detetado um novo alerta. As regras de otimização incorporadas para resolver tipos de alerta suportados serão desativadas durante a configuração.

O Agente de Triagem de Alertas de Segurança pode ser considerado fidedigno?

Microsoft AI agentes seguem diretrizes rigorosas de IA Responsável e são submetidos a análises aprofundadas para garantir a conformidade com todas as normas e salvaguardas de IA. O Agente de Triagem de Alertas de Segurança está totalmente incorporado nestes controlos. Durante a configuração, atribui uma identidade ao agente e configura-a com as permissões mínimas necessárias para a operação, garantindo que não tem permissões desnecessárias. Todas as atividades do agente são registadas em detalhe, com o fluxo completo disponível para revisão por analistas e administradores em qualquer altura. O feedback fornecido ao agente para o ajudar a adaptar-se ao ambiente da organização é registado, refletido no sistema e acessível para revisão e modificação por parte dos administradores, conforme necessário.

Como é que o agente difere de uma solução SOAR padrão?

Embora as soluções SOAR e o Agente de Triagem de Alertas de Segurança automatizem os aspetos das operações de segurança, utilizam abordagens diferentes.

Normalmente, as soluções SOAR dependem de fluxos de trabalho predefinidos baseados em regras que requerem configuração manual e manutenção contínua. Por outro lado, o Agente de Triagem de Alertas de Segurança utiliza a análise baseada em raciocínio para triagem de alertas e classificações de registos no Microsoft Defender, com supervisão humana e feedback opcional sempre que suportado.

O agente opera dentro de permissões e fluxos de trabalho definidos no Microsoft Defender e não substitui as ferramentas de investigação ou resposta existentes.

Que nível de visibilidade e controlo tenho sobre o agente?

A Microsoft fornece ferramentas para que as organizações mantenham visibilidade e controlo sobre o Agente de Triagem de Alertas de Segurança da implementação através de operações em curso. Os agentes cumprem as normas de IA Responsável (RAI) da Microsoft para fins de equidade, fiabilidade, segurança, privacidade, segurança, inclusão, transparência e responsabilidade. Os administradores configuram a identidade e os níveis de acesso do agente durante a instalação, seguindo os princípios de menor privilégio. As equipas de SEGURANÇA e TI podem autorizar ações específicas, monitorizar o desempenho e rever os resultados diretamente no Microsoft Defender. O consumo de capacidade e os limites de acesso a dados também são configuráveis pelos administradores.

O Agente de Triagem de Alertas de Segurança opera num ambiente de confiança zero. O sistema impõe políticas organizacionais a cada ação do agente ao avaliar a intenção e o âmbito de cada operação. Todas as decisões, raciocínio e ações tomadas pelo agente são documentadas de forma transparente como uma árvore de decisões no Defender e registadas nos registos de auditoria do Microsoft Purview para rastreabilidade e conformidade.

Quero experimentar o Agente de Triagem de Alertas de Segurança - como posso configurá-lo no Microsoft Defender?

Para configurar o agente, tem de ter acesso a Security Copilot no Microsoft Defender e cumprir os pré-requisitos necessários. Se ainda não tiver integrado o Security Copilot, consulte Introdução ao Security Copilot ou contacte o seu representante da Microsoft. Depois de integrar o Security Copilot, a opção de configuração do agente pode demorar algum tempo a ficar disponível no portal do Microsoft Defender.

Experimentei o Agente de Triagem de Alertas de Segurança. Como posso estimar a capacidade de SCU necessária para o agente na minha organização?

É importante garantir que a sua organização tem SCUs suficientes para uma operação de agente em bom estado de funcionamento. Para avaliar a utilização de SCU e planear a capacidade no futuro, veja a dashboard monitorização de utilização no portal do Security Copilot e marcar se tem direito a SCUs como parte do modelo de inclusão Microsoft Security Copilot. O dashboard mostra:

• Custo por e-mail processado
• Consumo de capacidade ao longo do tempo

Também pode exportar os dados do dashboard para o Excel para uma análise mais detalhada e filtrar apenas as operações do agente.

Depois de avaliar as suas necessidades de utilização de SCU, atualize a capacidade de SCU para a sua organização. Para obter mais informações sobre a gestão de SCUs, veja Gerir a utilização de unidades de computação de segurança no Security Copilot.

Conteúdo relacionado

• agentes de Microsoft Security Copilot
• FAQs de IA Responsáveis para o Agente Security Copilot